Aviso legal: Este artículo tiene fines informativos y de educación financiera. No constituye asesoría legal individual. Si usted tiene un caso concreto de engaño por mensaje o llamada, consúltelo con su banco, con el Defensor del Consumidor Financiero, con la Superintendencia Financiera de Colombia o con un abogado especializado.
Última actualización: 6 de octubre de 2026 — Autor: Equipo Consumidor Financiero
Respuesta corta: no devuelva la llamada al número del mensaje, no dicte códigos ni claves, avise de inmediato a su banco por su línea oficial, guarde el mensaje completo y, en su reclamo, cuente lo que pasó tal como pasó.
Una estafa por mensaje de texto o por llamada busca que usted mismo entregue la llave o autorice la operación. Puede ser un mensaje que dice ser de su banco o una llamada que le pide el código que acaba de llegar a su celular. Por eso este reclamo no es igual al de una compra que apareció sola en el extracto: usted intervino. Aun así, la pregunta clave es si el banco cumplió sus deberes de seguridad, de información y de prueba, no si el delincuente fue convincente.
La Superintendencia Financiera, en su página «¿Qué hacer si eres víctima?» (consultada el 6 de octubre de 2026), indica lo siguiente: reportar de inmediato lo sucedido a su banco y seguir sus instrucciones, inactivar los productos si todavía tiene acceso, guardar correos, mensajes y capturas de pantalla, y presentar la denuncia ante la Policía Nacional (CAI Virtual) o ante la Fiscalía General de la Nación. En esta guía esos pasos se aplican también cuando el engaño entró por SMS, por WhatsApp o por una voz que conocía sus datos.
1. Qué no hacer cuando llega el mensaje o la llamada
No devuelva la llamada al número que escribió el mensaje. Use el que está en el reverso de su tarjeta o en el sitio oficial del banco, marcado por usted.
No dicte claves de un solo uso, ni el número completo de su tarjeta, ni códigos que el banco le acaba de enviar.
Qué dice la ley sobre su deber de cuidado
La ley señala como buena práctica observar las instrucciones y recomendaciones que el banco le dé sobre el manejo de sus productos (Ley 1328 de 2009, art. 6, letra c). Pero si usted no sigue esas prácticas, no pierde por eso sus derechos, y el banco tampoco queda libre de las obligaciones que la ley le impone (art. 6, parágrafo 1).
Qué debe cumplir el banco
El principio de debida diligencia del banco (art. 3, letra a) y su derecho a recibir productos con estándares de seguridad y calidad (art. 5, letra a) siguen del lado de la entidad. Además, el banco debe tener medios electrónicos y controles idóneos para dar seguridad a las transacciones y a la información confidencial (art. 7, letra q). También debe colaborar con las pruebas cuando el hecho pueda ser un delito, incluso en transacciones telefónicas (art. 7, letra r).
Guarde el mensaje completo, con el número de origen y la hora: esa es su prueba. Borrarlo para no verlo más deja su relato en el aire. Si ya dictó un código o una clave, avise de inmediato a su banco, por su línea oficial, y bloquee el producto.
¿Entregó un código o una clave y el banco le dice que la operación fue «voluntaria»?
Un análisis de su caso puede ayudarle a ordenar sus pruebas y a decidir la vía de reclamación más adecuada.
2. Cómo contar lo ocurrido en su reclamo sin cerrarse la puerta
En el reclamo escrito diga qué le pidieron, qué digitó usted, a qué hora y qué operación salió. Si usted no digitó nada y aun así salió la transferencia, dígalo así. Si digitó porque le dijeron que era para cancelar un supuesto fraude, dígalo así. Mezclar los dos relatos le sirve a quien quiere cerrar el caso diciendo que usted entregó la clave por voluntad propia.
Qué dice la ley sobre quién debe probar
La ley considera práctica abusiva que el banco invierta la carga de la prueba en caso de fraudes en contra del consumidor, es decir, que le exija a usted demostrar el hecho (Ley 1328 de 2009, art. 12, letra c). También prohíbe que lo haga una cláusula de un contrato de adhesión, es decir, de los que el banco redacta y usted solo firma (art. 11, letra b).
Ninguna de las dos normas dice que toda llamada engañosa se reembolsa. Dicen que el banco no puede ganarle el caso solo porque el contrato le echó a usted la prueba.
Si usted mismo autorizó la transferencia
Si ya autorizó una transferencia creyendo que hablaba con el banco, el caso es de transferencia inducida, no de compra no reconocida. El mensaje es la puerta: el trámite jurídico depende de lo que salió después.
Si el banco no responde o cierra el caso diciendo que la clave era suya, conviene que un abogado revise su caso antes de dar el siguiente paso.
3. Orden práctico: qué hacer según lo que pasó
Esta tabla resume qué hacer ese mismo día y qué no afirmar de entrada en su reclamo.
| Hecho | Qué hacer ese día | Qué no afirmar de entrada |
|---|---|---|
| Llamada o SMS que pide un código | Colgar, llamar a la línea oficial, bloquear si alcanzó a dictar algo y guardar el mensaje | Que el banco ya reversó porque usted avisó |
| Link para actualizar datos | No ingresar claves. Entrar a la página del banco escribiendo usted la dirección oficial | Que todo link es delito sin haber visto qué operación salió |
| Cargo que usted no autorizó después del mensaje | Reclamo escrito con la hora del mensaje y la hora del cargo, y pedir los soportes (Ley 1328 de 2009, art. 7, letra g) | Que es reversión del artículo 51 si el canal no fue comercio electrónico |
| Usted mismo movió el dinero siguiendo la llamada | Bloqueo, denuncia y reclamo con el relato fiel | Que es una compra no reconocida |
Cuándo sirve la reversión del pago
La reversión del pago (Ley 1480 de 2011, art. 51, reglamentada por el Decreto 587 de 2016) es para compras hechas por comercio electrónico con tarjeta u otro medio de pago electrónico. No procede cuando el pago se hizo por canales presenciales. Un código entregado por teléfono que termina en una transferencia a un tercero casi nunca encaja en esa figura, porque la norma habla de compras.
Qué dice la Ley 2573 de 2026
La Ley Estatutaria 2573 de 2026, sobre suplantación de identidad, define la ingeniería social (art. 3) como el método que usan los atacantes cibernéticos para engañar a los usuarios y llevarlos a realizar una acción que normalmente tiene consecuencias negativas, como divulgar información personal. Fue sancionada el 19 de mayo de 2026 y publicada en el Diario Oficial 53.496 del 20 de mayo de 2026.
Su artículo 13 dice que, en general, la ley entra en vigencia «dentro de los seis (6) meses siguientes» a su promulgación, y no fija una fecha exacta. Por eso, a octubre de 2026, no la invoque como si ya ordenara suspender cobros y confirme con un abogado si ya es exigible en su caso.
Los parágrafos primero y segundo del artículo 5 sí rigen desde la promulgación. El primero ordena a la Superintendencia de Industria y Comercio y a la Superintendencia Financiera reglamentar protocolos para atender los reportes de posible suplantación. El segundo establece una consecuencia (suspender la gestión de cobranza y corregir el reporte en las centrales financieras) que depende de que se incumplan esos protocolos y de que el titular pida la corrección diciendo que fue víctima de suplantación. No son el trámite de su llamada de esta semana.
¿Su caso se parece a esto?
Nuestro equipo puede revisar su caso y orientarle sobre la vía de reclamación más adecuada. Atención confidencial y sin compromiso.
Glosario
Ingeniería social: engaño para que la persona haga algo que termina mal, como entregar un dato. La definición está en el artículo 3 de la Ley 2573 de 2026, con la vigencia ya explicada.
Código de un solo uso: clave que llega al celular o al correo para autorizar una operación. Quien la tiene, en ese minuto, puede autorizar.
Línea oficial: la impresa en la tarjeta o publicada por el banco, marcada por usted. No la del mensaje.
Relato fiel: contar si usted digitó o no. Cambiar el relato a mitad del reclamo debilita la prueba.
Carga de la prueba: a quién le toca demostrar lo que pasó. En un fraude, la ley no permite que el banco se la traslade a usted.
Transferencia inducida: transferencia que usted mismo autoriza porque lo engañaron.
Preguntas frecuentes
¿Qué hago si ya di un código o una clave?
Avise de inmediato a su banco por la línea oficial y siga sus instrucciones. Inactive sus productos si todavía puede entrar y guarde correos, mensajes y capturas. Presente la denuncia ante la Policía Nacional (CAI Virtual) o ante la Fiscalía, como indica la Superintendencia Financiera.
¿Dónde denuncio una estafa por mensaje de texto o por llamada?
Ante la Policía Nacional (CAI Virtual) o ante la Fiscalía General de la Nación, según la Superintendencia Financiera. Presente la denuncia con los hechos, tal como ocurrieron, y guarde el mensaje con su número de origen y su hora.
¿Denuncio aunque no haya salido plata?
La página de la Superintendencia pide la denuncia cuando hay un problema de fraude con los productos financieros. Si solo hubo un intento y usted no entregó datos, conserve el mensaje y avise a su banco por el canal oficial. No invente un cargo que no existe.
¿El banco puede pedirme el código para verificar que soy yo?
No entregue códigos ni claves a quien lo llame o le escriba. El banco solo debe contactarlo por sus canales oficiales. Si usted marcó la línea oficial, siga el protocolo de esa llamada. Si lo llamaron a usted, cuelgue y llame usted a la línea oficial impresa en su tarjeta o publicada por el banco. La diferencia es quién originó el contacto.
¿Hay un artículo penal que pueda citar en la carta al banco?
Esta guía no revisó la Ley 1273 de 2009 ni el Código Penal artículo por artículo. La denuncia se presenta con los hechos. El delito lo califica la Fiscalía, no el reclamo al banco.
¿Me sirve la reversión de pagos?
Solo si la operación fue una compra por comercio electrónico con los requisitos del Decreto 587 de 2016. Un código entregado por teléfono que termina en una transferencia a un tercero casi nunca es esa figura.
Referencias
Leyes
- Congreso de la República de Colombia. (2009, 15 de julio). Ley 1328 de 2009, por la cual se dictan normas en materia financiera, de seguros, del mercado de valores y otras disposiciones, arts. 3, 5, 6, 7, 11 y 12. Diario Oficial n.º 47.411. Secretaría del Senado. https://www.secretariasenado.gov.co/senado/basedoc/ley_1328_2009.html
- Congreso de la República de Colombia. (2011). Ley 1480 de 2011, por medio de la cual se expide el Estatuto del Consumidor y se dictan otras disposiciones, art. 51. Secretaría del Senado. http://www.secretariasenado.gov.co/senado/basedoc/ley_1480_2011_pr001.html
- Congreso de la República de Colombia. (2026, 19 de mayo). Ley Estatutaria 2573 de 2026, por la cual se establecen medidas para proteger a las personas del reporte negativo ante operadores de información y el cobro de obligaciones en casos de suplantación de identidad, arts. 3, 5 y 13. Diario Oficial n.º 53.496 del 20 de mayo de 2026. Secretaría del Senado. http://www.secretariasenado.gov.co/senado/basedoc/ley_2573_2026.html
Decretos
- Presidencia de la República de Colombia. (2016, 11 de abril). Decreto 587 de 2016, por el cual se adiciona el Decreto 1074 de 2015 y se reglamenta el artículo 51 de la Ley 1480 de 2011, art. 2.2.2.51.1. Diario Oficial n.º 49.841. Departamento Administrativo de la Función Pública. https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=69037
Doctrina e informes de la autoridad de supervisión
- Superintendencia Financiera de Colombia. (s. f.). ¿Qué hacer si eres víctima? (última modificación indicada en la página: 21 de abril de 2026). https://www.superfinanciera.gov.co/publicaciones/10115896/que-hacer-si-eres-victima/
Información verificada al 6 de octubre de 2026 contra las fuentes oficiales citadas. Esta guía no reemplaza el estudio del expediente.
